11.13. Команды IEEE 802.1x

Назначение

Команда dot1x system-auth-ctrl используется для глобального запуска функции управления аутентификацией dot1x.

Для удаления этой конфигурации используйте команду no dot1x system-auth-ctrl.

Требования

Синтаксис

dot1x system-auth-ctrl

no dot1x system-auth-ctrl

Режим ввода

Global Config

Состояние по умолчанию

Отключено

Применение

Для глобального запуска функции dot1x используйте эту команду. Эта команда необходима для правильного функционирования настроек dot1x на каждом порту.

Примеры

Вывод команды dot1x system-auth-ctrl:

Switch# configure terminal
Switch(config)# dot1x system-auth-ctrl
Switch(config)# no dot1x system-auth-ctrl

Связанные команды

show dot1x

dot1x port-control

Назначение

Команда dot1x initialize в режиме “Privileged EXEC” используется для ручного перевода указанного порта с поддержкой IEEE 802.1x в неавторизованное состояние перед запуском новой сессии аутентификации на порту.

Требования

Синтаксис

dot1x initialize interface IFNAME

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Команда dot1x initialize используется для инициализации IEEE 802.1x и создания новой среды для аутентификации. После ввода этой команды статус порта становится неавторизованным.

Примеры

Вывод команды dot1x initialize:

Switch# dot1x initialize interface eth-0-1

Связанные команды

show dot1x

Назначение

Команда dot1x max-reauth-req в режиме “Interface Configuration” используется для задания максимального числа попыток перезапуска процесса аутентификации коммутатором до перевода порта в неавторизованное состояние. Для возврата к настройкам по умолчанию используйте команду no dot1x max-req.

Требования

Синтаксис

dot1x max-req COUNT

no dot1x max-req

Режим ввода

Interface Configuration

Состояние по умолчанию

Значение по умолчанию для команды dot1x max-reauth-req — 2 попытки.

Применение

Изменяйте значение этой команды только при необходимости корректировки для необычных ситуаций, таких как ненадежные каналы связи или специфические проблемы поведения некоторых клиентов и серверов аутентификации.

Примеры

Вывод команды dot1x max-reauth-req:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x max-req 4

Связанные команды

show dot1x

Назначение

Команда dot1x port-control в режиме “Interface Configuration” используется для управления состоянием авторизации порта вручную. Для возврата к настройкам по умолчанию используйте команду no dot1x port-control.

Поддерживается конфигурация dot1x на маршрутизируемом порту, но не поддерживается на логическом порту, таком как агрегированный порт и т.д.

Требования

Синтаксис

dot1x port-control ( auto | force-authorized | force-unauthorized | dir ( both | in ) )

no dot1x port-control

Режим ввода

Interface Configuration

Состояние по умолчанию

Управление портом dot1x отключено по умолчанию.

Значение по умолчанию для направления контроля — “in”.

Применение

Необходимо глобально включить аутентификацию IEEE 802.1x на коммутаторе с помощью команды глобальной конфигурации dot1x system-auth-control до того, как включать аутентификацию IEEE 802.1x на отдельных портах.

Примеры

Вывод команды dot1x port-control:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x port-control auto

Связанные команды

show dot1x

Назначение

Команда dot1x protocol-version используется для установки версии пакетов EAPOL на коммутаторе. Для возврата к настройкам по умолчанию используйте команду no dot1x protocol-version.

Требования

Синтаксис

dot1x protocol-version VER

no dot1x protocol-version

Режим ввода

Interface Configuration

Состояние по умолчанию

Значение версии EAPOL по умолчанию — 2.

Применение

Перед установкой версии EAPOL необходимо указать управление состоянием авторизации порта с помощью команды dot1x port-control.

Примеры

Вывод команды dot1x protocol-version:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x protocol-version 1

Связанные команды

show dot1x

Назначение

Команда dot1x timeout quiet-period используется для установки интервала времени ожидания.

Для возврата к настройкам по умолчанию используйте команду no dot1x timeout quiet-period.

Требования

Синтаксис

dot1x timeout quiet-period SECONDS

no dot1x timeout quiet-period

Режим ввода

Interface Configuration

Состояние по умолчанию

Значение интервала времени ожидания dot1x по умолчанию — 60 секунд.

Применение

Во время периода ожидания коммутатор не принимает и не инициирует никаких запросов на аутентификацию. Если вы хотите обеспечить более быстрое время отклика для пользователя, введите значение меньшее, чем значение по умолчанию.

Примеры

Вывод команды dot1x timeout quiet-period:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x timeout quiet-period 100

Связанные команды

show dot1x

Назначение

Команда dot1x handshake для включения периодической проверки состояния аутентификации клиента. Команда no dot1x handshake возвращает настройку к значению по умолчанию.

Требования

Синтаксис

dot1x handshake

no dot1x handshake

Режим ввода

Interface Configuration

Состояние по умолчанию

Нет

Применение

Настройка по умолчанию для dot1x handshake - отключено. Когда проверка состояния аутентификации клиента отключена, настройки таймаута проверки состояния аутентификации клиента не должны применяться.

Примеры

Вывод команды dot1x handshake:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x handshake

Связанные команды

dot1x timeout

dot1x max-req

Назначение

Команда dot1x timeout handshake-period используется для настройки интервала времени между проверками состояния аутентификации.

Для возврата к настройке по умолчанию используйте команду no dot1x timeout handshake-period.

Требования

Синтаксис

dot1x timeout handshake-period SECONDS

no dot1x timeout handshake-period

Режим ввода

Interface Configuration

Состояние по умолчанию

Значение по умолчанию для параметра dot1x handshake-period — 60 секунд.

Применение

Если период проверки состояния изменен при уже включенной функции проверки, изменения вступят в силу немедленно для активных пользователей.

Примеры

Вывод команды dot1x timeout handshake-period:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x timeout handshake-period 100

Связанные команды

dot1x handshake

dot1x max-req

Назначение

Команда dot1x reauthentication используется для включения периодической повторной аутентификации клиента.

Для возврата к настройке по умолчанию используйте команду no dot1x reauthentication.

Требования

Синтаксис

dot1x reauthentication

no dot1x reauthentication

Режим ввода

Interface Configuration

Состояние по умолчанию

Нет

Применение

По умолчанию повторная аутентификация dot1x отключена. Если повторная аутентификация отключена, настройки таймаута повторной аутентификации не вступят в силу.

Примеры

Вывод команды dot1x reauthentication:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x reauthentication

Связанные команды

show dot1x

dot1x timeout

Назначение

Команда dot1x re-authenticate в режиме “Privileged EXEC” используется для ручного инициирования повторной аутентификации указанного порта, поддерживающего IEEE 802.1x.

Требования

Синтаксис

dot1x re-authenticate interface IFNAME

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Вы можете использовать эту команду для повторной аутентификации клиента без ожидания заданного числа секунд между попытками повторной аутентификации (re-authperiod) и автоматической повторной аутентификации.

Примеры

Вывод команды dot1x re-authenticate:

Switch# dot1x re-authenticate interface eth-0-1

Связанные команды

show dot1x

Назначение

Команда dot1x timeout в режиме “Interface Configuration” на стековом или автономном коммутаторе используется для установки таймеров IEEE 802.1x.

Для возврата к настройкам по умолчанию используйте команду no dot1x timeout.

Требования

Синтаксис

dot1x timeout ( re-authperiod SECONDS | server-timeout SECONDS | supp-timeout SECONDS | tx-period SECONDS )

no dot1x timeout ( reauth-period | server-timeout | supp-timeout | tx-period )

Режим ввода

Interface Configuration

Состояние по умолчанию

Нет

Применение

Следует изменять значение этой команды только для корректировки в необычных обстоятельствах, таких как ненадежные соединения или специфические проблемы с определенными клиентами и серверами аутентификации.

Команда dot1x timeout re-authperiod в режиме конфигурации интерфейса влияет на поведение коммутатора только в случае включения периодической повторной аутентификации с помощью команды dot1x reauthentication в режиме конфигурации интерфейса.

Значение по умолчанию для re-authperiod - 3600 секунд.

Значение по умолчанию для tx-period - 30 секунд.

Значение по умолчанию для supp-timeout - 30 секунд.

Значение по умолчанию для server-timeout - 30 секунд.

Примеры

Вывод команды dot1x timeout:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x reauthentication
Switch(config-if)# dot1x timeout re-authperiod 4000

Связанные команды

dot1x reauthentication

show dot1x

Назначение

Команда dot1x guest-vlan в режиме “Interface Configuration” используется для указания активной VLAN в качестве гостевой VLAN 802.1x.

Для возврата к настройкам по умолчанию используйте команду no dot1x guest-vlan.

Требования

Синтаксис

dot1x guest-vlan VLAN_ID

no dot1x guest-vlan

Режим ввода

Interface Configuration

Состояние по умолчанию

Гостевая VLAN не настроена.

Применение

При настройке гостевой VLAN клиенты, не поддерживающие 802.1x, помещаются в гостевую VLAN, когда сервер не получает ответ на запрос идентификации (EAPOL). Клиенты, поддерживающие 802.1x, но не прошедшие аутентификацию, не получают доступ к сети.

Функция гостевой VLAN не поддерживается на внутренних VLAN (маршрутизируемых портах) или транковых портах; она поддерживается только на портах доступа.

Примеры

Настройка VLAN 5 в качестве гостевой VLAN 802.1x:

Switch# configure terminal
Switch(config)# vlan database
Switch(config-vlan)# vlan 5
Switch(config-vlan)# exit
Switch(config)# interface eth-0-1
Switch(config-if)# switchport mode access
Switch(config-if)# dot1x port-control auto
Switch(config-if)# dot1x guest-vlan 5

Связанные команды

show dot1x

Назначение

Команда show dot1x в режиме “Privileged EXEC” отображает конфигурацию сеанса IEEE 802.1x, административный статус и рабочий статус для коммутатора или указанного порта.

Требования

Синтаксис

show dot1x interface IFNAME

show dot1x session brief ( ( interface IFPHYSICAL ( mac MACADDR | ) ) | )

show dot1x ( all | )

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Н/Д

Примеры

Вывод команды show dot1x:

Switch# show dot1x all

Switch# show dot1x all
802.1X Port-Based Authentication Enabled
=====================================
802.1X info for interface eth-0-2
  portEnabled            : false
  portControl            : Auto
  portMode               : Port based
  portStatus             : Unauthorized
  Mac Auth bypass        : disabled
  reAuthenticate         : enabled
  reAuthPeriod           : 3600
  Max user number        : 255
  Current session number : 0
  Accept user number     : 0
  Reject user number     : 0
  Guest VLAN             : N/A
  Assign VLAN            : N/A
  QuietPeriod            : 60
  ReqMax                 : 2
  TxPeriod               : 30
  SuppTimeout            : 30
  ServerTimeout          : 30
  CD: adminControlledDirections : in
  CD: operControlledDirections  : in
  CD: bridgeDetected            : false
========================================

Связанные команды

dot1x system-auth-ctrl

dot1x port-control

Назначение

Команда show dot1x statistics в режиме “Privileged EXEC” для отображения статистики пакетов IEEE 802.1x EAPOL для коммутатора или для указанного порта.

Требования

Синтаксис

show dot1x statistics interface IFNAME

show dot1x statistics ( all | )

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Н/Д

Примеры

Вывод команды show dot1x:

Switch# show dot1x statistics interface eth-0-1

802.1X statistics for interface eth-0-1
  EAPOL Frames Rx: 0 - EAPOL Frames Tx: 323
  EAPOL Start Frames Rx: 0 - EAPOL Logoff Frames Rx: 0
  EAP Rsp/Id Frames Rx: 0 - EAP Response Frames Rx: 0
  EAP Req/Id Frames Tx: 241 - EAP Request Frames Tx: 0
  Invalid EAPOL Frames Rx: 0 - EAP Length Error Frames Rx: 0
  EAPOL Last Frame Version Rx: 0 - EAPOL Last Frame Src: 0000.0000.0000

Связанные команды

dot1x system-auth-ctrl

dot1x port-control

Назначение

Команда debug dot1x используется для включения отладки модуля dot1x.

Чтобы вернуть настройки по умолчанию, используйте команду no debug dot1x.

Требования

Синтаксис

debug dot1x ( event | timer | packet | all )

no debug dot1x ( event | timer | packet | all )

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Команда terminal monitor используется для отображения отладочных сообщений непосредственно в виртуальном терминале (VTY).

Команда show logging buffer используется для проверки отладочных сообщений в буфере журналов.

Примеры

Включение всех отладочных переключателей dot1x:

Switch# debug dot1x all

Связанные команды

terminal monitor

show logging buffer

Назначение

Команда clear dot1x statistics в режиме “Privileged EXEC”, чтобы очистить статистику IEEE 802.1x для коммутатора или указанного порта.

Требования

Синтаксис

clear dot1x statistics ( all | )

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Используйте команду clear dot1x для очистки статистики IEEE 802.1x для коммутатора или указанного порта.

Используйте команду show dot1x, чтобы отобразить статистику IEEE 802.1x.

Примеры

Использование команды clear dot1x:

Switch# clear dot1x statistics

Связанные команды

dot1x system-auth-ctrl

dot1x port-control

show dot1x

Назначение

Команда dot1x port-mode используется для установки режима управления интерфейсом.

Используйте команду no dot1x port-mode для восстановления значения по умолчанию.

Требования

Синтаксис

dot1x port-mode ( port | mac )

no dot1x port-mode

Режим ввода

Interface Configuration

Состояние по умолчанию

По умолчанию режим основан на портах.

Применение

Используйте команду dot1x port-mode для установки режима управления интерфейсом.

Используйте команду no dot1x port-mode для восстановления значения по умолчанию.

Перед установкой режима управления необходимо включить dot1x port-control.

Режим управления не может быть изменен, если на линии есть пользователи.

Примеры

Использование команды dot1x port-mode:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x port-mode mac

Связанные команды

dot1x port-control

Назначение

Команда dot1x max-user используется для установки максимального количества пользователей на интерфейсе.

Используйте команду no dot1x max-user для восстановления значения по умолчанию.

Требования

Синтаксис

dot1x max-user COUNT

no dot1x max-user

Режим ввода

Interface Configuration

Состояние по умолчанию

По умолчанию количество пользователей на порту не ограничено. Максимальное количество зависит от профиля аппаратного обеспечения системы.

Применение

Используйте команду dot1x max-user для установки максимального количества пользователей на интерфейсе.

Используйте команду no dot1x max-user для восстановления значения по умолчанию.

Перед установкой максимального значения необходимо включить dot1x port-control.

Если на линии есть пользователи, установленное значение должно быть больше или равно количеству текущих пользователей.

Установленное значение не может превышать количество аппаратных ресурсов.

Это значение должно ограничивать количество пользователей dot1x на основе MAC-адреса в состояниях “accept”, “reject” и “reauth”, которые используют аппаратную таблицу для передачи или отбрасывания. Общее количество пользователей, включая состояние “waiting”, должно быть в 2 раза больше этой настройки.

Примеры

Использование команды dot1x max-user:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x max-user 10

Связанные команды

dot1x port-control

Назначение

Команда dot1x re-active radius-server используется для активации указанных серверов RADIUS.

Требования

Синтаксис

dot1x re-active radius-server ( host HOST_IP_ADDR ( auth-port PORT | ) | interface IFNAME | all )

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Используйте эту команду для активации сервера RADIUS. Пользователям не нужно ждать времени простоя сервера RADIUS с этой командой.

Примеры

Использование команды dot1x re-active radius-server:

Switch# dot1x re-activate radius-server
Switch# dot1x re-activate radius-server host 3.3.3.3 auth-port 1812
Switch# dot1x re-activate radius-server interface eth-0-9

Связанные команды

radius-server host

radius-server deadtime

show radius-server

Назначение

Команда dot1x accounting-mode radius используется для глобального запуска функции учета dot1x.

Для удаления этой настройки используйте команду no dot1x accounting-mode radius.

Требования

Синтаксис

dot1x accounting-mode radius

no dot1x accounting-mode

Режим ввода

Global Config

Состояние по умолчанию

Отключено

Применение

Эта команда используется для глобального запуска функции учета dot1x. Команда не вступает в силу сразу для пользователей, которые уже находятся в сети.

Примеры

Использование команды dot1x accounting-mode radius:

Switch# configure terminal
Switch(config)# dot1x accounting-mode radius
Switch(config)# no dot1x accounting-mode

Связанные команды

Нет

Назначение

Команда dot1x accounting start-fail используется для глобальной настройки политики при сбое запуска учета.

Для восстановления значения по умолчанию используйте команду no dot1x accounting start-fail.

Требования

Синтаксис

dot1x accounting start-fail ( offline | online )

no dot1x accounting start-fail

Режим ввода

Global Config

Состояние по умолчанию

не в сети

Применение

Устройство отправляет начальный учетный пакет на учетный сервер после подключения пользователя. Политика start-fail будет выполнена при отсутствии ответа от учетного сервера. Эта команда не вступает в силу сразу для пользователей, которые уже находятся в сети.

Примеры

Использование команды dot1x accounting start-fail:

Switch# configure terminal
Switch(config)# dot1x accounting start-fail online
Switch(config)# dot1x start-fail offline

Связанные команды

dot1x accounting-mode radius

Назначение

Команда dot1x accounting realtime используется для глобального включения функции учета dot1x в реальном времени и установки интервала учета в реальном времени.

Для удаления этой настройки используйте команду no dot1x accounting realtime.

Требования

Синтаксис

dot1x accounting realtime INTERVAL

no dot1x accounting realtime

Режим ввода

Global Config

Состояние по умолчанию

Интервал dot1x учета в реальном времени по умолчанию не настроен, что означает, что учет в реальном времени отключен.

Применение

Используйте эту команду для глобального включения функции учета dot1x в реальном времени или изменения интервала учета в реальном времени. Эта команда не вступает в силу сразу для пользователей, которые уже находятся в сети.

Примеры

Использование команды dot1x accounting realtime:

Switch# configure terminal
Switch(config)# dot1x accounting realtime 1
Switch(config)# no dot1x accounting realtime

Связанные команды

dot1x accounting-mode radius

Назначение

Команда dot1x accounting interim-fail используется для глобальной настройки максимального допустимого количества периодов без ответа на запрос учета в реальном времени dot1x и установки политики для случая ошибки промежуточного учета.

Для восстановления значения по умолчанию используйте команду no dot1x accounting interim-fail.

Требования